Tweeter

Tribunal administratif de Marseille, 9ème ch., jugement du 27 février 2020

La Quadrature du net et autres

contrôle d’accès - données personnelles - finalités - informatique et libertés - reconnaissance faciale

Par une requête, enregistrée le 14 février 2019, l’association « La Quadrature du Net » et la Ligue des droits de l’Homme, la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes et le syndicat CGT Educ’Action des Alpes-Maritimes, représentés par Me Alexis Fitzjean O Cobhthaigh, demandent au Tribunal :

1°) d’annuler pour excès de pouvoir la délibération n° 18-893 du 14 décembre 2018 par laquelle le conseil régional de Provence-Alpes-Côte d’Azur a approuvé la convention tripartite d’expérimentation région-lycée-société Cisco International Limited relative à la mise en place d’un dispositif de contrôle d’accès par comparaison faciale et de suivi de trajectoire, a autorisé son président à signer cette convention et a lancé cette expérimentation au sein des lycées Ampère (Marseille) et Les Eucalyptus (Nice) ;

2°) de mettre à la charge de la région Provence-Alpes-Côte d’Azur la somme de 1 024 euros au titre de l’article L. 761-1 du code de justice administrative.

Elles soutiennent que :
– la délibération attaquée est entachée d’incompétence: concernant la sécurité à l’entrée des lycées, elle relève de la compétence des seuls chefs d’établissement ;
– elle est entachée d’un vice de procédure en ce qu’elle autorise la mise en œuvre d’un traitement de données biométriques alors qu’aucune étude d’impact n’a été réalisée au moment de son adoption, nuisant à la bonne information de la population et du conseil régional ;
– elle méconnaît les stipulations de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales en ce qu’elle prévoit la mise en œuvre d’un traitement entraînant une ingérence dans le droit à la vie privée des personnes concernées en dehors de toute base légale ;
– elle méconnaît les dispositions des articles 5 et 9 du règlement général de protection des données dès lors, d’une part, que les finalités avancées pour justifier le traitement en cause ne sont ni explicites, ni légitimes, et, d’autre part, que les données collectées ne sont ni adéquates, ni pertinentes et qu’elles sont, en tout état de cause, manifestement excessives au regard des finalités pour lesquelles elles sont collectées et traitées.

Par un mémoire en défense, enregistré le 29 novembre 2019, la région Provence-Alpes­ Côte d’Azur, représentée par l’AARPI Baron, Aidenbaum & associés, agissant par Me Baron, sollicite le rejet de la requête et demande que soit mise à la charge des requérants la somme de 2 500 euros au titre de l’article L. 761-1 du code de justice administrative.

Elle fait valoir que :
– la co-secrétaire générale du syndicat CGT Educ’Action des Alpes-Maritimes n’a pas qualité pour ester en justice au nom de cette organisation ;
– les moyens de légalité externe soulevés par les requérants ne sont pas fondés ;
– leurs moyens de légalité interne sont dépourvus d’objet.

La clôture de l’instruction a été fixée au 8 janvier 2020 par une ordonnance du même jour, en application des dispositions des articles R. 611-11-1 et R. 613-1 du code de justice administrative.

Les parties ont été informées, en application des dispositions de l’article R. 611-7 du code de justice administrative, de ce que le jugement était susceptible d’être fondé sur les moyens relevés d’office tirés, d’une part, de l’irrecevabilité de la requête présentée par l’association «La Quadrature du Net» en ce qu’elle ne justifie pas d’un intérêt à agir contre la délibération en litige, et, d’autre part, de l’irrecevabilité des conclusions tendant à l’annulation de la délibération du conseil régional de PACA du 14 décembre 2018 en tant qu’elle approuve la convention tripartite d’expérimentation avec la société Cisco International Limited et chacun des deux lycées et autorise son président à les signer, en tant que ces décisions constituent des actes détachables insusceptibles de recours pour excès de pouvoir.

Vu les autres pièces du dossier.

Vu :
– le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
– la loi n° 78-17 du 6 janvier 1978 ;
– le code de l’éducation ;
– le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :
– le rapport de M. Khiat,
– les conclusions de M. Gonneau, rapporteur public,
– les observations de Me Fitzjean O Cobhthaigh pour les requérants et de Me Baron pour la région Provence-Alpes-Côte d’Azur.

Considérant ce qui suit :

1. Par la délibération n° 13-893 du 14 décembre 2018, le conseil régional de la région Provence-Alpes-Côte d’Azur (PACA) a, d’une part, lancé l’expérimentation du dispositif de contrôle d’accès virtuel dans les lycées « Ampère » (Marseille) et «Les Eucalyptus» (Nice) et, d’autre part, approuvé la convention tripartite d’expérimentation conclue avec la société Cisco International Limited et chacun des deux lycées et autorisé son président à les signer. Par la présente requête, l’association «La Quadrature du Net», la Ligue des droits de l’Homme, la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes et le syndicat CGT Educ’Action des Alpes-Maritimes demandent au Tribunal l’annulation pour excès de pouvoir de cette délibération.

Sur l’exception de non-lieu opposée par la région PACA :

2. En faisant valoir que les moyens de légalité interne sont dépourvus d’objet en tant que l’expérimentation n’a pas pu être mise en œuvre faute d’autorisation donnée par la Commission nationale de l’informatique et des libertés, la région PACA doit être regardée comme opposant une exception de non-lieu à statuer aux conclusions de la requête. La seule circonstance que l’expérimentation n’ait pas été mise en œuvre n’est cependant pas de nature à priver d’objet les conclusions en excès de pouvoir dirigées contre la délibération du conseil régional de PACA du 14 décembre 2018, dès lors que celle-ci n’a été ni abrogée, ni retirée. Il en résulte que l’exception de non-lieu à statuer opposée par la région PACA doit être écartée.

Sur la recevabilité de la requête :

En ce qui concerne la fin de non-recevoir opposée par la région :

3. Aux termes de l’article 23 du XI des statuts du syndicat CGT Educ’Action des Alpes­ Maritimes : « Le/la secrétaire général-e ou en cas d’absence ou d’impossibilité, un-e secrétaire mandaté-e par le bureau- est habilité-e pour représenter le syndicat en justice et dans tous les actes de la vie civile. ». Le syndicat CGT Educ’Action des Alpes-Maritimes ne justifie d’aucun mandat de son bureau autorisant sa co-secrétaire générale à ester en justice en son nom dans le cadre de la présente instance. Dans ces conditions, la fin de non-recevoir tirée de l’absence de justification de la qualité de la co-secrétaire générale pour agir au nom du syndicat CGT Educ’Action des Alpes-Maritimes doit être accueillie.

En ce qui concerne la recevabilité des conclusions tendant à l’annulation de la délibération litigieuse en tant qu’elle approuve les conventions tripartites d’expérimentation et autorise le président du conseil régional à les signer :

4. Indépendamment des actions dont disposent les parties à un contrat administratif et des actions ouvertes devant le juge de l’excès de pouvoir contre les clauses réglementaires d’un contrat ou devant le juge du référé contractuel sur le fondement des articles L. 551-13 et suivants du code de justice administrative, tout tiers à un contrat administratif susceptible d’être lésé dans ses intérêts de façon suffisamment directe et certaine par sa passation ou ses clauses est recevable à former devant le juge du contrat un recours de pleine juridiction contestant la validité du contrat ou de certaines de ses clauses non réglementaires qui en sont divisibles. La légalité du choix du cocontractant, de la délibération autorisant la conclusion du contrat et de la décision de le signer ne peut être contestée qu’à l’occasion du recours ainsi défmi. Il en résulte que des conclusions d’excès de pouvoir d’un tiers contre ces actes détachables du contrat sont irrecevables.

5. Par sa décision n° 358994 du 4 avril 2014, le Conseil d’Etat, statuant au contentieux, a jugé que le recours défini ci-dessus ne trouve à s’appliquer, selon les modalités précitées et quelle que soit la qualité dont se prévaut le tiers, qu’à l’encontre des contrats signés à compter de la lecture de cette même décision.

6. La délibération du conseil régional de PACA du 14 décembre 2018 présente le caractère d’un acte détachable aux conventions tripartites d’expérimentation conclues entre la région, la société Cisco International Limited et chacun des deux lycées concernés en ce qu’elle approuve leur contenu et autorise son président à les signer. Dès lors, les requérants, tiers à ces contrats administratifs conclus postérieurement au 4 avril 2014, ne pouvaient former qu’un recours de pleine juridiction en contestation de la validité de ces conventions devant le juge du contrat. Il s’ensuit que les conclusions tendant à l’annulation de la délibération contestée sont irrecevables en tant que cette délibération approuve le contenu des conventions tripartites d’expérimentation conclues entre la région, la société Cisco International Limited et chacun des deux lycées en cause et autorise le président du conseil régional de PACA à les signer.

Sur la légalité de la délibération du conseil régional de PACA du 14 décembre 2018 en ce qu’elle lance l’expérimentation du dispositif de contrôle d’accès virtuel dans les lycées « Ampère » (Marseille) et« Les Eucalyptus» (Nice) :

7. En premier lieu, aux termes du deuxième alinéa de l’article L. 214-6 du code de l’éducation, dans sa rédaction applicable à la date de la délibération en litige : « La région assure l’accueil, la restauration, l’hébergement ainsi que l’entretien général et technique, à l’exception des missions d’encadrement et de surveillance des élèves, dans les établissements dont elle a la charge.». En outre, aux termes de l’article R. 421-10 du même code : « En qualité de représentant de l’Etat au sein de l’établissement, le chef d’établissement:  / (…) 3° Prend toutes dispositions, en liaison avec les autorités administratives compétentes, pour assurer la sécurité des personnes et des biens, l’hygiène et la salubrité de l’établissement ; ( …) ».

8. Il ressort des pièces du dossier que, par la délibération en litige, le conseil régional de PACA a engagé l’expérimentation d’un dispositif dit de contrôle d’accès virtuel dans les lycées « Ampère » et « Les Eucalyptus » consistant en l’installation de portiques de reconnaissance faciale à l’entrée de ces établissements. Cette expérimentation comporte, d’une part, un volet
« contrôle d’accès biométrique » concernant les personnes identifiées (lycéens) et, d’autre part, un volet « suivi de trajectoire » concernant les personnes identifiées et non identifiées (visiteurs occasionnels). Une telle expérimentation, dont l’un des objectifs était le renforcement de la sécurité dans les établissements scolaires, relevait ainsi non des missions d’accueil, d’hébergement ou d’entretien des lycées, mais des missions d’encadrement et de surveillance des élèves. En outre, contrairement à ce qu’elle fait valoir, la région PACA ne s’est pas bornée à munir les lycées en cause des équipements de reconnaissance faciale ou même à leur proposer l’adoption d’un dispositif expérimental de reconnaissance faciale, mais a elle-même pris la décision d’initier cette expérimentation. Dès lors, en engageant cette expérimentation, alors même qu’elle s’inscrit dans les missions d’encadrement et de surveillance des élèves qui ressortissent à la compétence des chefs d’établissements, la région PACA a excédé les compétences qu’elle tient des dispositions précitées de l’article L. 214-6 du code de l’éducation, quand bien même les établissements scolaires retenus auraient en donné leur consentement. Par suite, les requérants sont fondés à soutenir que la délibération litigieuse est entachée d’incompétence.

9. En second lieu, l’article 6 de la loi du 6 janvier 1978 dispose, dans sa rédaction applicable, que : « I.- Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou de traiter des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. / II.- Les exceptions à l’interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l’article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi ». Ces dispositions assurent la mise en œuvre en droit national de celles de l’article 9 du règlement général sur la protection des données, lesquelles ont abrogé et remplacé celles de l’article 8 paragraphe 1 de la directive 95/46/CE du 24 octobre 1995.

10. Aux termes de l’article 9 du règlement général sur la protection des données, applicable à un traitement de données biométriques au nombre desquelles appartiennent les données collectées par la reconnaissance faciale : « 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. / 2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie : / a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ; ( …) / g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée (…) ».

11. Le 11) de l’article 4 du règlement sur la protection des données définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairé et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». En outre, l’article 7 du même règlement relatif aux conditions applicables au consentement dispose : « 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. / 2. Si le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du présent règlement n’est contraignante. / ( …) Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. ».

12. Il ressort des pièces du dossier que la région PACA a entendu justifier légalement le traitement de données biométriques en cause par le consentement préalable des lycéens concernés ou, dans le cas où ces derniers sont mineurs, par celui de leurs représentants légaux. En se bornant toutefois à prévoir que ce consentement serait recueilli par la seule signature d’un formulaire, alors que le public visé se trouve dans une relation d’autorité à l’égard des responsables des établissements publics d’enseignement concernés, la région ne justifie pas avoir prévue des garanties suffisantes afm d’obtenir des lycéens ou de leurs représentants légaux qu’ils donnent leur consentement à la collecte de leurs données personnelles de manière libre et éclairée.

13. En dernier lieu, selon les termes de la délibération en cause, ce dispositif a pour finalités « (…) d’apporter une assistance aux agents en charge du contrôle d’accès au lycée et de l’accueil afin de faciliter et réduire la durée des contrôles (pour les usagers réguliers du site comme pour les visiteurs occasionnels), lutter contre l’usurpation d’identité et détecter un déplacement non souhaité ». Cependant, la région PACA n’établit ni ne fait valoir que les finalités poursuivies s’attachant à la fluidification et la sécurisation des contrôles à l’entrée des lycées concernés constituent un motif d’intérêt public ni même que ces finalités ne pourraient être atteintes de manière suffisamment efficace par des contrôles par badge, assortis, le cas échéant, de l’usage de la vidéosurveillance. Les requérantes sont donc fondées à soutenir que le traitement de données biométriques institué par la région PACA ne satisfait pas aux exigences prévues par le a) de l’article 9 du règlement général sur la protection des données telles qu’éclairées notamment par ses articles 4 et 7, ni davantage aux conditions énoncées par le g) du même règlement, et qu’il n’entre dans aucune des exceptions énumérées par le 2. de l’article 9 du règlement général sur la protection des données. Elles sont, par suite, fondées à soutenir que la délibération qu’elles contestent est entachée d’illégalité au regard de l’article 9 du règlement général sur la protection des données.

14. Il résulte de tout de ce qui précède, et sans qu’il soit besoin d’examiner les autres moyens de la requête, que l’association « La Quadrature du Net», la Ligue des droits de l’Homme et la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes sont fondées à demander l’annulation de la délibération du conseil régional de Provence-Alpes-Côte d’Azur du 14 décembre 2018 en tant qu’elle a lancé l’expérimentation du dispositif de contrôle d’accès virtuel dans les lycées « Ampère » (Marseille) et « Les Eucalyptus » (Nice).

Sur les frais non compris dans les dépens :

15. Il y a lieu de mettre à la charge de la région PACA le versement d’une somme totale de 1 000 euros à l’association « La Quadrature du Net », à la Ligue des droits de l’Homme et à la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes au titre de l’article L. 761-1 du code de justice administrative. En revanche, ces dispositions font obstacle à ce que les requérants, qui ne sont la partie perdante à l’instance, versent à la région PACA une somme au titre des frais exposés et non compris dans les dépens.

DÉCISION

Article l : La délibération du conseil régional de Provence-Alpes-Côte d’Azur du 14 décembre 2018 est annulée en tant qu’elle a lancé l’expérimentation du dispositif de contrôle d’accès virtuel dans les lycées « Ampère » (Marseille) et « Les Eucalyptus » (Nice).

Article 2 : La région Provence-Alpes-Côte d’Azur versera à l’association« La Quadrature du Net» à la Ligue des droits de l’Homme et à la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes une somme totale de 1 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Article 3 : Le surplus des conclusions des parties est rejeté.

Article 4: Le présent jugement sera notifié à l’association« La Quadrature du Net», à la Ligue des droits de l’Homme, à la fédération des conseils des parents d’élèves des écoles publiques des Alpes-Maritimes, au syndicat CGT Educ’Action des Alpes-Maritimes et à la région Provence­ Alpes-Côte d’Azur.

Le Tribunal : Mme Hogedez (présidente), Mme Balussou (première conseillère), M. Khiat (conseiller), Mme Renard-Martinez (greffière)

Source : laquadrature.net

Lire notre présentation de la décision